测试凭据的处置
测试中获取或猜到的凭据（口令、令牌、密钥、数据库连接串）属于最高敏感级别的信息，处置要分三步：先分类记录来源与用途——自建测试账号、客户提供，还是测试过程中获得的；再限制使用范围，只允许在本次授权范围内使用，不登录无关系统；最后在收尾阶段处置——测试中获得的真实口令及时告知客户改密，报告中一律以掩码呈现，项目结束按约定销毁并确认。发现口令暴露本身就是一条漏洞证据，同时也是一份敏感信息，两种身份要同时处理，不能只写报告不通知客户。
基本信息
| 分类 | 自建测试账号 / 客户提供 / 测试获得 |
|---|---|
| 使用限制 | 仅限授权范围内使用，不登录无关系统 |
| 处置动作 | 测试获得的口令及时告知客户改密 |
| 报告呈现 | 以掩码呈现，不展示口令原文 |
| 收尾 | 按约定销毁并留记录 |
典型使用场景
- 弱口令发现：报告呈现掩码，同时通知客户改密
- 配置泄露：读取到数据库连接串或密钥时记录来源
- 令牌与密钥：验证有效性即可，不做越界使用
- 客户提供账号：项目结束确认停用或改密
- 本地留存：测试期间凭据加密存放，结束统一清理
处置流程
处置流程
1. 分类：自建测试账号 / 客户提供 / 测试获得
2. 测试获得的口令及时告知客户改密
3. 报告中以掩码呈现（如 P****d）
4. 本地加密存放，限定访问人
5. 项目结束确认销毁并留记录凭据类型与处置
| 类型 | 来源 | 处置方式 |
|---|---|---|
| 自建测试账号 | 测试方创建 | 清理时删除并验证失效 |
| 客户提供账号 | 客户交付 | 按约定停用或改密 |
| 测试获得口令 | 弱口令或泄露 | 立即告知客户改密，报告掩码 |
| 令牌与密钥 | 配置或接口泄露 | 验证有效即停止，通知轮换 |
| 数据库连接串 | 配置读取 | 报告说明风险，不超出必要连接 |
发现的口令暴露既是漏洞证据也是敏感信息，两手都要处理：报告要写风险，客户要及时收到改密通知。
用测试中拿到的口令登录办公系统，是最严重的越界类型之一；报告里明文展示口令原文则是最常见的信息泄露写法。